Microsoft、12,000件以上のアカウントを侵害したEvilTokensフィッシングサービスを排除

Microsoftは2026年9月22日、法執行機関や業界パートナーとの共同作業により、同年2月に開始されたフィッシング・アズ・ア・サービス（PhaaS）であるEvilTokensの基盤インフラを完全に破壊したことを公式に発表した。この発表は、数千件規模の被害が明らかになる中で、同社が迅速に対応策を講じたことを示す重要なマイルストーンとなった。

EvilTokensがMicrosoftの認証フローを悪用した手口

EvilTokensはOAuth 2.0デバイスコードフローという、ブラウザが利用できないデバイス向けに設計された正規の認証プロトコルを悪用した。被害者はMicrosoftの正規サインインページにリダイレクトされ、画面に表示された短いコードを入力するだけで、パスワードを入力せずに攻撃者に対してアクセストークンが付与されてしまう仕組みである。

このアクセストークンはMicrosoft自社の認可サーバーから直接発行されるため、従来のパスワードベースの検知システムや多要素認証（MFA）では異常な活動を検出できなかった。結果として、攻撃者は取得したトークンを用いてメールボックスへの読み書き権限を取得し、組織内の機密情報を大量に抽出したり、さらなるなりすまし攻撃を実行した。

AIで強化された偵察と標的設定

EvilTokensは独自に開発したAIモデルを組み込み、侵害されたメールボックスを自動的に走査し、内部関係者や組織構造をマッピングした。AIは請求書や送金情報といった高価値データを抽出し、これらを元に二次被害者向けのカスタマイズされたスピアフィッシングメールを生成した。これにより、追撃攻撃の成功率が従来の手法に比べて大幅に向上した。

このサービスはTelegram上で宣伝され、参入料として1,500ドル、月額サブスクリプション料として500ドルが設定されていた。さらに、クレデンシャル大量取得モジュールや自動請求書偽造モジュールなどの追加機能が別途販売され、得た収益はAIツールの更なる開発やインフラ拡充に再投資された。

• 正当なシナリオで必要ない場合はOAuthデバイスコードフローを無効化する
• トークン発行とメールボックスの異常活動を継続的に監視する
• FIDO2セキュリティキーやパスキーなどフィッシング耐性の認証方式を採用する
• 高リスクアプリケーションに対してMFAを必須とする条件付きアクセスポリシーを実装する

法執行機関の介入と残る脅威

国際的な協調捜査により、EvilTokensに関連する50以上のホスティングサイトと150以上のドメインが押収・停止された。容疑者2名（32歳と38歳）は英国で逮捕され、現在は保釈されているが、さらなる捜査が続行中である。

BleepingComputerは今回の対応を「破壊」ではなく「妨害」と評価し、完全な根絶には至っていないと指摘した。実際、APTokenなどのクローンサービスがすでに出現しており、ビジネスモデル自体はサイバー犯罪者にとって依然として魅力的であることを示唆している。

MicrosoftはSIEMプラットフォーム向けに新たな検知シグネチャを提供し、侵害されたデバイスコードフローを通じて発行されたトークンを迅速に特定できるようにした。このシグネチャは異常なトークン使用パターンをリアルタイムでフラグし、セキュリティチームが即座に対処できる環境を整えることを目的としている。

同社は顧客に対し、OAuthアプリケーションの登録情報を見直し、未知のトークンをすべて取り消すこと、さらに推奨されるハードニング手順を適用して攻撃面を最小化するよう強く呼びかけている。具体的には、最小権限の原則に基づくスコープ設定や、トークン有効期限の短縮が推奨される。

日本の企業にとって今回のMicrosoftの介入は、即時のリスク低減と長期的な認証強化の二重効果をもたらす重要な転機となる。推奨された対策を導入すれば、フィッシング成功件数の減少、インシデント対応コストの削減、そしてアイデンティティ管理基盤の耐久性向上が期待できる。

最後に、Microsoftは今後もAIを悪用した新たな脅威に対抗するため、研究開発と情報共有の体制を強化し、業界全体での防御力向上に貢献していくと述べている。